EDR bezeichnet Sicherheitssoftware, die das Verhalten von Endgeräten fortlaufend aufzeichnet, verdächtige Abläufe erkennt und Reaktionen ermöglicht. Der Unterschied zum klassischen Virenschutz liegt im Ansatz: Statt Dateien gegen bekannte Signaturen zu prüfen, beobachtet EDR, welche Prozesse gestartet werden, welche Systemwerkzeuge in ungewöhnlicher Weise genutzt werden und wohin ein Gerät Verbindungen aufbaut. Damit erfasst es auch Angriffe, die ohne eigene Schadsoftware auskommen und stattdessen vorhandene Bordmittel missbrauchen.
Zur Reaktion gehören das Isolieren eines Geräts vom Netz, das Beenden von Prozessen und die Rekonstruktion des Angriffsverlaufs, was für die Aufarbeitung eines Vorfalls entscheidend ist.
Der Preis dafür ist Betriebsaufwand, denn EDR erzeugt Meldungen, die jemand bewerten muss; ohne Zuständigkeit oder einen beauftragten Dienstleister bleibt das System ein teurer Rekorder. Für kleinere Unternehmen wird die Technik deshalb meist als betreute Leistung eingekauft, bei der ein Dienstleister die Auswertung übernimmt.